ECLI:BE:GBAPD:2024:DEC.20241129.1

Chambre Contentieuse Décision quant au fond 147/2024 du 29 novembre 2024 Numéro de dossier : DOS-2019-06239 Objet : Décision de transaction dans le cadre d’une plainte relative à des appels téléphoniques visant des fins de marketing direct malgré l’exercice du droit d’opposition La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke HIJMANS, président siégeant seul. Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « LCA ») ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 20191 ; Vu les pièces du dossier ; A pris la décision suivante concernant : La plaignante : X, ci-après « la plaignante » La défenderesse : Y, ci-après « la défenderesse » I. Faits et procédure I.1. La plainte 1. Le 9 décembre 2019, la plaignante introduit une plainte auprès de l’Autorité de protection des données contre la défenderesse. 2. Les faits au départ de la plainte consistent en des appels de marketing direct qui se sont prolongés malgré que la plaignante ait exercé son droit d’opposition. 3. Le 4 avril 2019, la plaignante exerce son droit à l’opposition (art. 21.2 du RPGD) à la suite d’appels intempestifs reçus et réalisés, selon la plaignante, par la défenderesse. 4. Le même jour, la défenderesse confirme à la plaignante avoir inscrit, dans sa base de données, la demande d’opposition. En outre, la défenderesse demande à la plaignante de lui communiquer le numéro de téléphone appelant, au regard de la fraude et des activités d’hameçonnage (phishing en anglais) qui règnent. Ainsi, la défenderesse exprime l’idée que le numéro de téléphone appelant pourrait ne pas lui appartenir, et appartiendrait plutôt à un tiers qui tente de se faire passer pour elle. 5. Toujours le même jour, la plaignante répond qu’il ne lui est pas possible de communiquer à la défenderesse le numéro de téléphone appelant étant entendu que ce dernier aurait été effectué en employant la fonction « appel masqué ». 6. Les 3 et 6 décembre 2019, la plaignante adresse des rappels à la défenderesse. 7. Le même jour, la défenderesse répond qu’afin de lancer une investigation, elle a besoin, au minimum, de connaître du numéro de téléphone appelant. 8. Le 7 janvier 2020 la plainte est déclarée recevable par le Service de Première Ligne sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA. 9. Le 28 janvier 2020, conformément à l’article 96, § 1er de LCA, la demande de la Chambre Contentieuse de procéder à une enquête est transmise au Service d’Inspection, de même que la plainte et l’inventaire des pièces. 10. Le 9 décembre 2020 l’enquête du Service d’Inspection est clôturée, le rapport est joint au dossier et celui-ci est transmis par l’inspecteur général au Président de la Chambre Contentieuse (art. 91, § 1er et § 2 de la LCA). Le rapport comporte des constatations relatives à l'objet de la plainte et conclut que : 1. La défenderesse a manqué au respect des articles 5.1.a, 6.1 et 21.3 du RGPD en ce que, en ne donnant pas suite à l’exercice du droit à l’opposition de la plaignante, elle a traité les données à caractère personnel de cette dernière irrégulièrement, et ceci à des fins de marketing direct ; 2. La défenderesse a manqué au respect de l’article 12.2 du RGPD en ce qu’elle a manqué à son devoir de faciliter l’exercice des droits de la personne concernée ; 3. La défenderesse a manqué au respect de l’article 25 du RGPD en ce que la gestion de sa banque de données CRM 2 ne « rencontre pas les principes de protection des données dès la conception et de protection des données par défaut. »3. 11. Le 21 avril 2021 la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond. 12. À cette même date, les parties concernées sont informées par envoi recommandé des dispositions telles que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. La date limite pour la réception des conclusions en réponse de la défenderesse a été fixée au 19 mai 2021, celle pour les conclusions en réplique de la plaignante au 16 juin 2021 et celle pour les conclusions en duplique de la défenderesse au 7 juillet 2021. 13. Le 21 avril 2021, la plaignante accepte de recevoir toutes les communications relatives à l'affaire par voie électronique. 14. Le 22 avril 2021, la défenderesse accepte de recevoir toutes les communications relatives à l'affaire par voie électronique. Elle sollicite par le même courriel une copie du dossier (art. 95, §2, 3° LCA), laquelle lui est transmise le 4 mai 2021. 15. Le 30 avril 2021, la défenderesse sollicite à nouveau la copie du dossier, et demande en conséquence une prolongation des délais de remise des conclusions. 16. Le 6 mai 2021, la Chambre Contentieuse accepte de prolonger les délais de remise des conclusions de 3 semaines. Ce faisant, la nouvelle date limite pour la réception des conclusions en réponse de la défenderesse est fixée au 9 juin 2021, celle pour les conclusions en réplique de la plaignante au 7 juillet 2021 et celle pour les conclusions en duplique de la défenderesse au 28 juillet 2021. 17. Le 9 juin 2021, la Chambre Contentieuse reçoit les conclusions en réponse de la part de la défenderesse. 18. Le 28 juillet 2021, la Chambre Contentieuse reçoit un courriel de la part de la plaignante lui confirmant ne pas avoir déposé de conclusions. 19. Le même jour, la défenderesse confirme à la Chambre Contentieuse son intention de ne pas déposer de conclusions additionnelles. I.2 La proposition de transaction 20. Le 20 septembre 2024, la Chambre Contentieuse communique à la plaignante la proposition de transaction qu’elle envisage de soumettre à la défenderesse. Elle laisse l’opportunité à la plaignante d’adresser d’éventuels commentaires jusqu’au 14 octobre 2024 au plus tard, ce que cette dernière ne fit pas. 21. Le 21 octobre 2024, la Chambre Contentieuse soumet à la défenderesse sa proposition de transaction, laquelle se retrouve dans son intégralité aux pages 6 et suivantes de la présente décision, et en fait partie intégrante, à ceci près une légère précision qui a été apportée dans les pages 12 et 13 concernant un calcul de délai. La proposition de transaction reprend toutes les conditions proposées à la défenderesse. 22. Le 22 novembre 2024, la défenderesse accepte pleinement la proposition de transaction et demande à ce qu’elle soit anonymisée lors de la publication de la présente décision. II. Publication de la décision 23. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse, la présente décision est publiée sur le site internet de l’Autorité de protection des données. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification soient directement communiquées. PAR CES MOTIFS, la Chambre Contentieuse de l’Autorité de protection des données décide, après délibération : - En vertu de l’article 100, §1er, 4° de la LCA de conclure la transaction telle qu’elle a été acceptée par la défenderesse le 22 novembre 2024, en vertu des conditions qui ont été soumises, telles que développées dans la présente décision et son annexe. Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit, dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (Cour d'appel de Bruxelles), avec l'Autorité de protection des données (APD) comme partie défenderesse. Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les informations énumérées à l'article 1034ter du Code judiciaire4. La requête interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.5, ou via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.). (sé). Hielke HIJMAN Président de la Chambre Contentieuse Document PDF ECLI:BE:GBAPD:2024:DEC.20241129.1 Publication(s) liée(s) précédé par: ECLI:BE:GBAPD:2024:AVIS.20240223.3 ECLI:BE:GBAPD:2024:DEC.20240223.1